1

Выполняю учебное задание по сетям. На одном из этапов должно происходить следующее:

  1. на компьютер №3 с компьютера №4 приходит пакет, отправленный на адрес, не представленный в сети (например, 123.123.123.123)
  2. на компьютере №3 происходит перенаправление принятого пакета на компьютеры №1 и №2 (то есть необходимо провести дублирование и подмену адреса назначения)

Пробовал делать следующим образом:

# дублируем все пакеты, предназначенные для 123.123.123.123, на компьютер №2
iptables -t mangle -A PREROUTING -d 123.123.123.123 -j TEE --gateway 6.6.1.1
# изменяем поле назначения непродублированных пакетов на адрес компьютера №1
iptables -t nat -A PREROUTING -d 123.123.123.123 -j DNAT --to-destination 6.6.0.1

До компьютера №1 пакеты доходят. Доходят пакеты (дублируются) и до компьютера №2 — но их поля назначения (destination) остаются неизменными (123.123.123.123)

Проблема в том, что не смог найти способа дублирования траффика с проставлением верных полей (в частности назначения)

1 ответ 1

0

Так вставь ДНАТ перед дублированием:

# изменяем поле назначения непродублированных пакетов на адрес компьютера №2
iptables -t nat -A PREROUTING -d 123.123.123.123 -j DNAT --to-destination 6.6.1.1
# дублируем все пакеты, предназначенные для 123.123.123.123, на компьютер №2
iptables -t mangle -A PREROUTING -d 123.123.123.123 -j TEE --gateway 6.6.1.1
# изменяем поле назначения непродублированных пакетов на адрес компьютера №1
iptables -t nat -A PREROUTING -d 123.123.123.123 -j DNAT --to-destination 6.6.0.1
6
  • Спасибо. Действительно, мог бы догадаться. Но теперь почему-то компьютер №3 подменяет порт пакетов с компьютера, на который производилось дублирование, при отсылке их на клиент (компьютер №1). Причём на компьютере №3 не стоят никакие фильтры, которые могли бы это сделать. Всё тестирование производится при помощи netcat. Можете подсказать, в чём могла бы быть проблема?
    – 111
    15 мая 2017 в 18:53
  • А в этом виноват скорее всего контрак. Добавь правило notrack в прероутинг или отключи контрак - проверь, я не уверен, но вроде больше нечему
    – eri
    16 мая 2017 в 18:06
  • Да, это помогло. Спасибо
    – 111
    17 мая 2017 в 18:24
  • 1. А разве не только одно DNAT-правило (первое) будет применено? 2. Дублирование трафика с помощью Mangle точно применимо к разным подсетям (123.123.123.xxx & 6.6.6.y)? К примеру, у меня трафик не дублируется (согласно pcap-файлу)
    – Worker
    10 мар 2019 в 16:33
  • @Worker возможно ответ не точен
    – eri
    10 мар 2019 в 23:04

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.